ATP de Symantec

Versión de integración: 9.0

Configura Symantec ATP para que funcione con Google Security Operations

Para generar un cliente de OAuth, haz lo siguiente:

1. En Symantec ATP Manager, navega a Settings y, luego, a Data Sharing.
2. Haz clic en Agregar aplicación en la sección Clientes de OAuth.
3. Escribe el nombre de la aplicación que deseas registrar en el campo Nombre de la app y, luego, selecciona la versión de la API que usarás (el parámetro de configuración predeterminado es la versión 2).
4. Si seleccionas habilitar las APIs de la versión 2, aparecerá la opción Rol. Selecciona el rol del usuario para la app en el menú desplegable.
5. Haz clic en Generar.
6. Aparecerán el ID de cliente y el secreto del cliente.
7. Haz clic en Listo.

Configura la integración de Symantec ATP en Google SecOps

Si quieres obtener instrucciones detalladas para configurar una integración en Google SecOps, consulta Configura integraciones.

Acciones

Agregar comentario al incidente

Descripción

Adjunta un comentario a un incidente.

1. En el incidente en el que quieras hacer un comentario, haz clic en el campo Comentarios.
2. Escribe tu comentario en el cuadro Nuevo comentario. Los caracteres ASCII extendidos no se renderizan correctamente en formato .csv.
3. Haz clic en Agregar comentarios.

Parámetros

Casos de uso

N/A

Ejecutar en

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Agregar a la lista negra

Descripción

Crea una política de lista negra para una entidad. Symantec mantiene una lista negra mundial de computadoras y archivos externos que se actualiza con regularidad y se integra con Symantec Advanced Threat Protection (ATP). Puedes complementar esta lista creando políticas de lista negra para computadoras externas o los archivos que consideres no confiables. Por ejemplo, es posible que desees crear una política de lista negra para un archivo que apareció recientemente en tu inteligencia de ciberseguridad y que Symantec aún no identificó como una amenaza.

Parámetros

N/A

Casos de uso

N/A

Ejecutar en

Esta acción se ejecuta en las siguientes entidades:

• Filehash
• Nombre de host
• Dirección IP
• URL

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

  N/A

Agregar a la lista blanca

Descripción

Cuando agregas a la lista de entidades permitidas una computadora externa, ATP la considera confiable y no inspecciona el tráfico hacia ella o desde ella desde tus extremos (incluso si está en la lista de bloqueo). Puedes incluir en la lista blanca una computadora externa según su dirección IP, subred, dominio o URL.

Parámetros

N/A

Casos de uso

N/A

Ejecutar en

Esta acción se ejecuta en las siguientes entidades:

• Filehash
• Nombre de host
• Dirección IP
• URL

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Cerrar incidente

Descripción

Cambia el estado del incidente a cerrado. Para cerrar el incidente, se debe especificar el resultado.

Parámetros

Casos de uso

N/A

Ejecutar en

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Borrar archivo

Descripción

Cuando se selecciona un archivo para su eliminación en la Protección contra amenazas avanzada (ATP), en realidad no se borra, sino que el extremo seleccionado lo pone en cuarentena.

Parámetros

Casos de uso

N/A

Ejecutar en

Esta acción se ejecuta en las siguientes entidades:

• Filehash
• Nombre de host

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Borra la política de lista de entidades permitidas

Descripción

Borra una política de lista de entidades permitidas para una entidad.

Parámetros

N/A

Casos de uso

N/A

Ejecutar en

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Enriquece el hash del archivo

Descripción

Enriquece una entidad de hash de archivo.

Parámetros

N/A

Casos de uso

N/A

Ejecutar en

Esta acción se ejecuta en la entidad Filehash.

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Obtener eventos para la entidad

Descripción

Recupera todos los eventos de una entidad desde un momento determinado.

Parámetros

Casos de uso

N/A

Ejecutar en

Esta acción se ejecuta en las siguientes entidades:

• Nombre de host
• Dirección IP

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Obtén eventos de consulta gratuita

Descripción

Recupera eventos con una búsqueda gratuita.

Parámetros

Casos de uso

N/A

Ejecutar en

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Obtén el estado de los comandos de la zona de pruebas

Descripción

Obtiene el estado de los comandos por ID.

Parámetros

Casos de uso

N/A

Ejecutar en

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Aislamiento del extremo

Descripción

Para aislar los endpoints del ATP Manager, se requiere una política de firewall de cuarentena y una política de integridad del host en Symantec Endpoint Protection Manager.

Parámetros

N/A

Casos de uso

N/A

Ejecutar en

Esta acción se ejecuta en las siguientes entidades:

• Nombre de host
• Dirección IP

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Ping

Descripción

Verifica que el usuario tenga una conexión a Symantec ATP a través de su dispositivo.

Parámetros

N/A

Casos de uso

N/A

Ejecutar en

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Extremos de reincorporación

Descripción

Para volver a unir los extremos desde ATP Manager, se requiere una política de firewall de cuarentena y una política de integridad del host en Symantec Endpoint Protection Manager.

Parámetros

N/A

Casos de uso

N/A

Ejecutar en

Esta acción se ejecuta en las siguientes entidades:

• Nombre de host
• Dirección IP

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Revocar de la lista negra

Descripción

Borra una política de lista negra para una entidad determinada.

Parámetros

N/A

Casos de uso

N/A

Ejecutar en

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Envía archivos a la zona de pruebas

Descripción

Envía hashes de archivos a la zona de pruebas.

Parámetros

N/A

Casos de uso

N/A

Ejecutar en

Esta acción se ejecuta en la entidad Filehash.

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Obtén comentarios sobre incidentes

Descripción

Recupera los comentarios relacionados con el incidente.

Parámetros

Ejecutar en

Esta acción no se ejecuta en entidades.

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

{
    "next": "MSwyMDIwLTA1LTAzVDEyOjU4OjMwLjc2Mlo=",
    "result": [
        {
            "comment": "TExt",
            "time": "2020-05-03T09:57:10.348Z",
            "user_id": 2,
            "incident_responder_name": "Admin"
        }
    ],
    "total": 3
}

{
    "entity": "{Incident UUID} comments"
    "Entity Results": [
"1": {
            "comment": "TExt",
            "time": "2020-05-03T09:57:10.348Z",
            "user_id": 2,
            "incident_responder_name": "Admin"
        },
"2" : {
 {
            "comment": "TExt",
            "time": "2020-05-03T09:57:10.348Z",
            "user_id": 2,
            "incident_responder_name": "Admin"
        },
"3":
 {
            "comment": "TExt",
            "time": "2020-05-03T09:57:10.348Z",
            "user_id": 2,
            "incident_responder_name": "Admin"
        }

]

           ],
    "total": 3
}

Actualiza la resolución del incidente

Descripción

Actualiza la resolución del incidente.

Parámetros

Ejecutar en

Esta acción no se ejecuta en entidades.

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Borrar la política de lista negra

Descripción

Borra una política de lista negra para una entidad de Google SecOps.

Parámetros

N/A

Ejecutar en

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Enriquecimiento de entidades

N/A

Estadísticas

N/A

Resultado de secuencia de comandos

Resultado de JSON

N/A

Conectores

Conector de incidentes de ATP de Symantec

Permisos del conector

Para que el conector funcione, necesitas los siguientes permisos para tu token de API:

• atp_view_incidents

Configura el conector de incidentes de Symantec ATP en Google SecOps

Si quieres obtener instrucciones detalladas para configurar un conector en Google SecOps, consulta Cómo configurar el conector.

Parámetros del conector

Usa los siguientes parámetros para configurar el conector:

Reglas del conector

Compatibilidad con proxy

El conector admite proxy.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.